Empezando<\/strong><\/h2>\nTres hechos a tener en cuenta antes de establecer un programa eficaz de gesti\u00f3n de vulnerabilidades: <\/p>\n
1. El n\u00famero de vulnerabilidades descubiertas aumenta cada a\u00f1o. Cada d\u00eda se descubren una media de 50 nuevas vulnerabilidades, por lo que podemos entender f\u00e1cilmente que es imposible repararlas todas.<\/p>\n
2. Solo algunas vulnerabilidades se explotan activamente y representan un riesgo muy alto para todas las organizaciones. Alrededor del 6% de todas las vulnerabilidades se explotan alguna vez en la naturaleza[43]: tenemos que reducir la carga y centrarnos en el riesgo real. <\/p>\n
3. La misma vulnerabilidad puede tener un impacto completamente diferente en el negocio y en la infraestructura de dos empresas distintas, por lo que es necesario considerar tanto la exposici\u00f3n del negocio como la gravedad de la vulnerabilidad. Con base en estos hechos, entendemos que no tiene sentido parchear todas las vulnerabilidades. En cambio, debemos centrarnos en aquellos que representan un riesgo real seg\u00fan el panorama de amenazas y el contexto organizacional.<\/p>\n
El concepto de gesti\u00f3n de vulnerabilidades basada en el riesgo<\/strong><\/h2>\nEl objetivo es centrarse en los activos m\u00e1s cr\u00edticos y los activos que tienen un mayor riesgo de ser atacados por los actores de amenazas. Para abordar un programa de gesti\u00f3n de vulnerabilidades basado en el riesgo, debemos considerar dos entornos.<\/p>\n
el ambiente interno<\/strong><\/h4>\nEl paisaje de los Clientes representa el ambiente interno. Las redes de las empresas est\u00e1n creciendo y diversific\u00e1ndose, al igual que su superficie de ataque. La superficie de ataque representa todos los componentes del sistema de informaci\u00f3n a los que pueden acceder los piratas inform\u00e1ticos. Tener una visi\u00f3n clara y actualizada de su sistema de informaci\u00f3n y de su superficie de ataque es el primer paso. Tambi\u00e9n es importante tener en cuenta el contexto empresarial. En efecto, las empresas pueden ser un objetivo mayor en funci\u00f3n de su sector de actividad debido a los datos y documentos espec\u00edficos que poseen (propiedad intelectual, defensa clasificada\u2026). El \u00faltimo elemento clave a considerar es el contexto \u00fanico de la empresa, individualmente. El objetivo es clasificar los activos seg\u00fan su criticidad y destacar los m\u00e1s importantes. Por ejemplo: activos que, de no estar disponibles, causar\u00edan una interrupci\u00f3n importante en la continuidad del negocio, o activos altamente confidenciales que, de estar accesibles, har\u00edan que la organizaci\u00f3n fuera responsable de m\u00faltiples demandas.<\/p>\n
El ambiente externo<\/strong><\/h4>\nEl panorama de amenazas representa el entorno externo. Estos datos no son accesibles desde la red interna. Las organizaciones necesitan tener los recursos humanos y financieros para encontrar y administrar esta informaci\u00f3n. Alternativamente, esta actividad se puede externalizar a profesionales que monitorear\u00e1n el panorama de amenazas en nombre de la organizaci\u00f3n. <\/p>\n
Conocer las vulnerabilidades que se explotan activamente es imprescindible ya que representan un mayor riesgo para una empresa. Estas vulnerabilidades explotadas activamente se pueden seguir gracias a las capacidades de inteligencia de amenazas combinadas con los datos de vulnerabilidad. Para tener los resultados m\u00e1s eficientes, es a\u00fan mejor multiplicar las fuentes de inteligencia de amenazas y correlacionarlas. Comprender la actividad de los atacantes tambi\u00e9n es valioso, ya que ayuda a anticipar posibles amenazas. Por ejemplo: la inteligencia relacionada con un nuevo ataque de d\u00eda cero o un nuevo ransomware se puede actuar de manera oportuna para evitar un incidente de seguridad. <\/p>\n
La combinaci\u00f3n y comprensi\u00f3n de ambos entornos ayudar\u00e1 a las organizaciones a definir su riesgo real y a identificar de manera m\u00e1s eficiente d\u00f3nde deben implementarse las acciones preventivas y correctivas. No es necesario aplicar cientos de parches sino diez de ellos, seleccionados, que reducir\u00e1n dr\u00e1sticamente la superficie de ataque de una organizaci\u00f3n. <\/p>\n